近日，知名安全公司Claroty發(fā)布了一份關(guān)于物聯(lián)網(wǎng)設(shè)備安全的報告，揭示了海外廣受歡迎的物聯(lián)網(wǎng)設(shè)備云端管理平臺OvrC存在的多個嚴(yán)重安全漏洞。這些漏洞的發(fā)現(xiàn)引起了業(yè)界對物聯(lián)網(wǎng)設(shè)備安全性的廣泛關(guān)注。

據(jù)報告指出，黑客有可能利用這些漏洞，在物聯(lián)網(wǎng)設(shè)備上遠(yuǎn)程執(zhí)行惡意代碼，對用戶的設(shè)備安全構(gòu)成嚴(yán)重威脅。更為嚴(yán)重的是，根據(jù)CVSS風(fēng)險評估標(biāo)準(zhǔn)，部分曝光的漏洞風(fēng)險評分高達(dá)9.2，接近滿分的風(fēng)險級別。

OvrC物聯(lián)網(wǎng)平臺，以其便捷的遠(yuǎn)程配置管理、運(yùn)行狀態(tài)監(jiān)控等服務(wù)功能，受到了廣大用戶的青睞。該平臺自2014年被自動化公司SnapOne收購以來，用戶規(guī)模持續(xù)擴(kuò)大，至2020年已擁有約920萬臺設(shè)備，如今更是預(yù)計設(shè)備數(shù)量已突破1000萬臺。

然而，正是這樣一個用戶規(guī)模龐大的物聯(lián)網(wǎng)平臺，卻存在著嚴(yán)重的安全隱患。報告詳細(xì)列舉了相關(guān)漏洞，包括輸入驗(yàn)證不足、不當(dāng)?shù)脑L問控制、敏感信息明文傳輸、數(shù)據(jù)完整性驗(yàn)證不足等問題。這些漏洞大多源于設(shè)備與云端接口的安全設(shè)計缺陷，使得黑客有機(jī)會繞過防火墻和網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）等安全機(jī)制，對平臺設(shè)備進(jìn)行惡意攻擊。

其中，四個被評為高危的漏洞尤為引人關(guān)注。它們分別是：輸入驗(yàn)證不足漏洞CVE-2023-28649、不當(dāng)訪問控制漏洞CVE-2023-31241、數(shù)據(jù)完整性驗(yàn)證不足漏洞CVE-2023-28386，以及關(guān)鍵功能缺乏認(rèn)證漏洞CVE-2024-50381。這些漏洞的CVSS風(fēng)險評分均處于9.1至9.2之間，顯示出極高的危險性。

研究人員進(jìn)一步指出，黑客可能會利用這些漏洞的組合進(jìn)行攻擊。例如，首先利用某個漏洞獲取受管設(shè)備列表，然后通過其他漏洞使設(shè)備進(jìn)入“未聲明所有權(quán)”狀態(tài)，并最終實(shí)現(xiàn)遠(yuǎn)程執(zhí)行代碼的目的。

值得慶幸的是，在研究人員報告這些問題后，OvrC平臺已經(jīng)積極采取行動進(jìn)行修復(fù)。雖然部分問題直到最近才得到完全解決，但目前該平臺已經(jīng)修復(fù)了所有已知的安全漏洞。這一舉措無疑將有效提升用戶設(shè)備的安全性。